Externalización de la ciberseguridad frente a gestión interna: ¿qué es mejor para tu pequeña empresa?

La mayoría de las pequeñas empresas ya realizan alguna labor de DIY seguridad, aunque no sea el trabajo oficial de nadie. Externalización de la ciberseguridad frente a gestión interna (DIY — "hazlo tú mismo") significa pagar a una empresa externa para que se haga cargo de parte o de toda esa labor, desde instalar actualizaciones hasta vigilar inicios de sesión sospechosos. No es lo mismo que comprar software de seguridad, que usted puede ejecutar por su cuenta.

¿Qué es la externalización de la ciberseguridad?

Una empresa que externaliza la ciberseguridad paga a un proveedor de servicios externo para gestionar parte o la totalidad de sus tareas de seguridad. Esto puede incluir monitorizar alertas, gestionar dispositivos y tecnologías de seguridad, ejecutar escaneos de vulnerabilidades y responder a incidentes.

Hay dos tipos de proveedores que realizan la mayor parte de este trabajo:

• Un proveedor de servicios gestionados (MSP) gestiona las operaciones diarias de IT, como configurar equipos, mantener la red y resolver problemas. Un MSP es una vía común para la externalización de IT en pequeñas empresas.
• Un proveedor de servicios de seguridad gestionada (MSSP) se centra en la seguridad de la información, con servicios que pueden incluir detección de amenazas, monitorización fuera del horario laboral y respuesta a incidentes.

Las pequeñas empresas suelen elegir una de estas tres configuraciones:

• DIY, o interno, la seguridad significa que su propio personal se encarga de todo, usando software de seguridad y su tiempo.
• Seguridad externalizada significa que un proveedor, normalmente un MSP o MSSP, realiza ese trabajo en su lugar.
• Una configuración híbrida reparte el trabajo entre la gestión interna y la externalización.

No tiene que externalizar toda su seguridad. Una empresa puede contratar un servicio puntual, como una revisión anual de seguridad o ayuda tras un ataque, y gestionar el resto internamente.

¿Pueden las pequeñas empresas gestionar la ciberseguridad por sí mismas?

Muchas pequeñas empresas gestionan su propia seguridad informática sin un especialista en plantilla. Funciona bien en entornos sencillos, por ejemplo, unos pocos portátiles, correo en la nube y sin servidores in situ.

¿Qué requiere la gestión interna de la ciberseguridad?

Para mantener la ciberseguridad interna, una pequeña empresa suele necesitar a alguien con conocimientos técnicos básicos, tiempo regular reservado para tareas de seguridad, un responsable nombrado para cada tarea y software que cubra todos los dispositivos de la empresa.

Los equipos reducidos a menudo omiten el tercer punto, y las tareas sin una persona responsable se quedan sin hacer. Cada tarea necesita una persona asignada que instale actualizaciones, configure cuentas nuevas y gestione las alertas.

Muchos productos de seguridad empresariales permiten a los equipos pequeños gestionar la protección desde un panel centralizado. Eso facilita comprobar la seguridad de los dispositivos, aplicar actualizaciones y gestionar configuraciones sin encargarse de cada tarea individualmente.

¿Dónde falla la ciberseguridad interna?

La ciberseguridad interna puede quedarse corta en experiencia y disponibilidad. Un equipo pequeño puede no tener las habilidades para detectar un ataque bien oculto o contener un ransomware, y las alertas que llegan de noche o en fines de semana pueden pasar desapercibidas.

La persona encargada de la seguridad suele tener además otro puesto. Si está de permiso cuando llega una alerta, puede que no se revise hasta varios días después. Además, ante un incidente grave puede no contar con las habilidades necesarias para determinar qué accedió un atacante y qué hay que comunicar a clientes o reguladores.

¿Qué tareas pueden gestionar las pequeñas empresas internamente?

La mayoría de las pequeñas empresas pueden encargarse internamente de la protección cotidiana de dispositivos, la seguridad de cuentas, la formación contra phishing del personal y las copias de seguridad. Estas tareas siguen una rutina definida, y el software de seguridad empresarial automatiza gran parte, desde escaneos programados hasta el despliegue de actualizaciones.

Normalmente una pequeña empresa puede cubrir lo básico con estos cuatro pasos:

• Instale software de seguridad (Enlace a la prueba de Small Office Security) en cada ordenador y teléfono. Puede bloquear malware conocido, señalar descargas riesgosas y advertir sobre sitios de phishing. Active también las actualizaciones automáticas. Muchos ataques aprovechan vulnerabilidades ya parcheadas. Si el personal usa móviles personales para trabajar, decida cuáles pueden acceder a datos de la empresa.
• Use autenticación multifactor (MFA) para el correo, la banca y las aplicaciones en la nube. Una contraseña robada será menos probable que baste para acceder. Dé a cada persona solo los permisos necesarios por su rol y elimínelos en su último día. Un repaso breve sobre phishing una o dos veces al año ayuda al personal a detectar una de las amenazas más comunes.
• Establezca una rutina de copias de seguridad y compruebe que funciona. Mantenga al menos una copia fuera de línea o fuera de la red principal y pruebe una restauración cada pocos meses. Luego redacte una página con el plan para un portátil robado o un ataque de ransomware. Debe indicar a quién llamar, qué desconectar y dónde están las copias de seguridad.
• Supervise el panel central. Muchas soluciones de seguridad empresarial ofrecen un panel para comprobar la protección de dispositivos, gestionar actualizaciones y revisar alertas. Revise informes rutinarios, actualizaciones fallidas y expiraciones de licencias regularmente, pero asegúrese de que las alertas críticas se revisan con prontitud en lugar de esperar al control semanal programado.

Seguridad diseñada para oficinas pequeñas

Kaspersky Small Office Security ayuda a proteger ordenadores, servidores de archivos y dispositivos móviles frente a malware, ransomware y phishing. Está pensado para pequeñas empresas sin personal de IT dedicado, y puede gestionarse desde un único punto.

Obtenga Kaspersky Small Office Security

✓

Probado de forma independiente y premiado por los principales laboratorios de la industria.

¿Cuáles son las ventajas e inconvenientes de externalizar la ciberseguridad?

Un proveedor externo puede aportar habilidades especializadas, herramientas de seguridad adicionales, menos trabajo para el personal y la tranquilidad de que profesionales gestionan la seguridad. La desventaja es la dependencia del proveedor, menor control directo y posibles vacíos en lo que cubre el contrato.

Los analistas de un MSSP tratan incidentes en múltiples organizaciones y pueden reconocer amenazas que el personal interno no ha visto antes. Algunos proveedores ofrecen además monitorización continua y capacidades de respuesta a incidentes que resultarían difíciles de mantener para una pequeña empresa por su cuenta. Por ello, externalizar la seguridad de IT puede reducir la necesidad de contratar especialistas dedicados en ciberseguridad.

Sin embargo, una vez que un proveedor gestiona su seguridad, depende de su personal, sus tiempos de respuesta y sus decisiones, y la calidad del servicio puede variar entre proveedores. También deberá revisar los contratos para ver qué cubre exactamente. Por ejemplo, un proveedor que gestiona sus portátiles puede no cubrir las cuentas en la nube donde se almacenan los datos de clientes.

Así se comparan gestión interna de IT y externalización:

La externalización también requiere coordinación interna. Su empresa necesita a alguien que revise el trabajo del proveedor, apruebe decisiones de seguridad importantes y coordine la respuesta si ocurre un incidente.

¿Cuánto cuesta externalizar la ciberseguridad en comparación con la gestión interna?

DIY la ciberseguridad interna normalmente implica suscripciones de software y tiempo del personal, mientras que la externalización añade tarifas del proveedor pero puede reducir la carga interna. Qué opción resulta más económica depende del tamaño del negocio, número de dispositivos, requisitos de seguridad y los servicios incluidos.

Los proveedores suelen cobrar una cuota mensual por dispositivo o por usuario, pero dos empresas del mismo tamaño pueden recibir presupuestos distintos. Un plan que cubre actualizaciones y antivirus suele costar menos que uno con monitorización 24/7 y respuesta a incidentes. Oficinas adicionales, personal remoto y servidores in situ también aumentan el coste, así que una lista de precios genérica no reflejará el coste real de la ciberseguridad para una pequeña empresa.

La gestión interna evita la cuota del proveedor, pero las horas que el personal dedica a la seguridad también tienen coste para la empresa, porque ese tiempo resta a su trabajo habitual.

Para comparar ambas opciones de forma justa, liste primero lo que necesita proteger, como dispositivos, cuentas y datos. Anote las tareas que puede gestionar su personal y pida presupuestos para el resto. Luego sume un año de software, tiempo del personal y tarifas del proveedor para cada opción.

¿Cuándo debe una pequeña empresa externalizar la ciberseguridad?

Un proveedor tiene sentido cuando su infraestructura necesita más habilidades u horas de las que puede dedicar su equipo. Muchas empresas sin un especialista en IT deciden mantener su ciberseguridad en plantilla.

¿Qué situaciones requieren experiencia externa?

Una empresa probablemente necesite ayuda externa cuando su infraestructura de IT sea compleja, cuando la normativa del sector exija controles específicos o cuando un incidente grave, como ransomware o una violación de datos, necesite ayuda especializada para contenerlo.

Un consultorio médico con historiales de pacientes, o una tienda online que procesa pagos con tarjeta, puede tener que cumplir exigencias sobre controles de seguridad, registro de eventos o pruebas periódicas. Durante un ataque, un especialista en respuesta a incidentes puede ayudar a contener el daño, preservar pruebas y determinar qué datos se han accedido o robado. Muchos equipos pequeños no disponen de esas habilidades y, por tanto, no están preparados para responder bien cuando ocurre un incidente.

¿Cómo decidir entre gestión interna y externalización?

Compare lo que su equipo puede cubrir con lo que su empresa necesita: las habilidades y horas que exige su infraestructura, la normativa aplicable y su presupuesto. Mantenga internamente lo que el personal pueda gestionar y pida presupuestos para el resto.

Pregúntese:

• ¿Puede alguien del personal configurar el software de seguridad, leer alertas y detectar cuándo algo no va bien?
• ¿Dispone esa persona de unas horas semanales para dedicar a la seguridad, protegida de sus otras tareas?
• ¿Gestiona sus propios servidores, varios centros o una fuerza laboral remota numerosa?
• ¿Clientes, aseguradoras o reguladores exigen controles específicos o pruebas periódicas?
• ¿Le saldría más económico un proveedor que el tiempo que el personal dedicaría a la seguridad?

Si su equipo tiene las habilidades y el tiempo para gestionar la seguridad diaria, la gestión interna puede ser suficiente. Si solo necesita ayuda en tareas concretas, un enfoque híbrido puede aportar experiencia adicional sin un contrato completo. La externalización continua puede tener más sentido cuando los requisitos de seguridad exceden de forma constante las capacidades o la disponibilidad del equipo.

Ejemplos en pequeñas empresas

Despacho de contabilidad

Este despacho de cuatro personas trabaja con portátiles, correo en la nube y una unidad compartida en línea, sin servidores que mantener. Un socio dedica una hora cada viernes a revisar el panel de seguridad y confirmar que la copia de seguridad semanal se ha ejecutado. Con software de seguridad y MFA en todas las cuentas, es posible que no necesiten ayuda externa.

Estudio de arquitectura

Un estudio de 15 personas mantiene su propio servidor de archivos y varios arquitectos trabajan desde casa conectándose a él de forma remota. En este caso, el responsable de oficina realiza comprobaciones diarias, pero nadie ha verificado si las conexiones al servidor son seguras. Un especialista podría revisar la configuración de seguridad anualmente para detectar lagunas como esta, sin que el estudio firme un contrato mensual.

Comercio electrónico

El comercio tiene 40 empleados, procesa pagos con tarjeta y utiliza varios sistemas en la nube. Su software de seguridad genera más alertas cada día de las que el equipo de IT de dos personas puede revisar, y la tienda debe permanecer operativa 24/7. Aquí, la ciberseguridad gestionada para pequeñas empresas puede ser la elección práctica, porque añade monitorización continua y respuesta a incidentes.

¿Pueden las pequeñas empresas combinar gestión interna y externalizada?

Las pequeñas empresas pueden combinar ambas en un modelo híbrido: el personal gestiona tareas rutinarias como actualizaciones, cuentas y copias de seguridad, mientras que especialistas externos se encargan de monitorización, respuesta a incidentes y evaluaciones que el equipo no puede cubrir.

Acorde quién hace qué antes de firmar un contrato. El contrato debe listar qué dispositivos y cuentas cubre el proveedor y qué tareas permanecen a cargo de su personal. También debe indicar quién contacta a quién cuando una alerta requiere escalado y los tiempos de respuesta acordados por el proveedor.

Si ya paga a un MSP, revise su contrato con la misma división de responsabilidades. Liste lo que paga y marque los servicios que utiliza. Compruebe qué tareas podría gestionar su personal y busque lagunas, como teléfonos del personal o nuevos dispositivos que el proveedor no cubra. También conviene preguntar cómo informa el proveedor sobre la gestión de la seguridad externalizada, para poder ver lo que hace cada mes.

Artículos relacionados:

• Cómo simplificar la seguridad de IT para empresas sin un equipo de IT
• Guía completa sobre ciberseguridad para pequeñas empresas
• Seguridad del correo electrónico para pequeñas empresas
• ¿Cuáles son las diferencias clave entre EDR y el antivirus?

Productos recomendados:

• Kaspersky Small Office Security
• Descargue la prueba gratuita de Kaspersky Small Office Security
• Descargue una prueba gratuita de 30 días de nuestro plan Premium

FAQs

¿Puede empezar con ciberseguridad interna y pasar a servicios gestionados más adelante?

Sí. Muchos proveedores incorporan empresas que ya gestionan su propia seguridad. Una lista actualizada de dispositivos, cuentas y configuraciones de seguridad puede acelerar la transferencia, aunque algunos proveedores pueden querer reemplazar sus herramientas actuales.

¿Cómo saber si un proveedor de seguridad gestionada está cumpliendo?

Compruebe sus informes frente a los niveles de servicio del contrato, como los tiempos de respuesta acordados. Los buenos informes muestran alertas tratadas, actualizaciones aplicadas e incidentes investigados. Respuestas lentas, resúmenes vagos o dispositivos que faltan en sus registros pueden indicar deficiencias.

¿Qué responsabilidades de ciberseguridad permanecen en su empresa tras externalizar?

Su empresa sigue siendo responsable de proteger los datos de los clientes, gestionar los accesos de empleados, formar al personal y cumplir los requisitos de seguridad aplicables. Externalizar tareas técnicas no elimina estas responsabilidades, aunque su proveedor también puede tener obligaciones legales y contractuales.

¿Necesita una pequeña empresa un centro de operaciones de seguridad?

Normalmente no uno propio. Un SOC es un equipo que monitoriza y responde a alertas de seguridad las 24 horas. Pocas pequeñas empresas pueden mantener uno, por eso las que necesitan cobertura 24/7 suelen contratarla a través de un MSSP.